【実録・PCハッキング体験談②】休眠アカウントの亡霊と、Infostealer（情報窃取型マルウェア）の猛威

🐤初めての方へ
本シリーズは全7話の実録連載です。事件の発端（第1話）はこちらからどうぞ！

三年以上前から、私のものではなかったのかもしれない

ハッキングと聞くと、私はもっと派手なものを想像していた。

警告画面が突然表示され、PCがロックされる。
勝手にメールを送り続ける。
銀行口座から、知らないうちに送金される。

そんな分かりやすい異常が起きるものだと思っていた。
でも実際は、もっと静かだった。

X アカウントの乗っ取りで気付かされるまで、まったくその気配を感じなかった。

本人に使わせたまま、裏側に残る。
必要な情報だけを静かに転送し、他のアカウントへも侵入を試みる。

持ち主に気付かれなければ、その方が長く居座れる。
思い当たる侵入経路から考えて、1か月間位は潜伏されていたのかもしれない。
満を持してのアカウント乗っ取りだったのか、既に闇市場にデータとして売却され、他人の手に渡ったか…。

X が陥落してからは、鬼神のごとき勢いだった。
一つを奪えば次へ。
こちらが守りを固める前に、別の扉が破られていく。
気づけば、Google、Yahoo!、SNS へと戦線は広がっていた。

一方で、ひっそりと海外からログインを試され続けていたアカウントがある。
古い Hotmail に紐づくMicrosoft アカウントだ。

Hotmail は海外の Bot に狙われやすい。
そんな話も聞いていた。

実際、海外からのアクセス試行通知は、以前から珍しくなかった。
メキシコ。
アメリカ。
ドバイ。
その他、見覚えのない地域。

何度もブロック通知が届くうちに、またか…としか感じなくなっていた。
異変が日常の風景になれば、本当に侵入された時にも気づきにくい。

Google に翻弄される中、もしやと思って Microsoft アカウントも覗いてみたら、アカウントの所有情報に、自分ではない人物が入り込んでいた。

削除しようとすると、認証はその相手側へ飛ぶ。
つまり、知らない人物をアカウントから外すために、知らない人物の承認が必要だった。
Google でも似たようなことが起きていたから、正直失望感しかない。

Copilot

……今は触らない方がいいです
相手のセッションが切れるまで、3日間は静観してください
Microsoft の Web系セッションは、非アクティブが続くと数日で死にますから

必ずしも３日という事ではないみたいだが、Microsoft のセッションは使い続ける限り延命される。
典型的な海外 Bot による攻撃だと、中継サーバー経由のセッション横取りが多く、パスワードがバレていなくても、ログイン状態だけ奪われてしまう。

この場合は、Microsoft からの通知は飛んでこないものと思った方が良さそうだ。
データの吸い取り自体は秒で終わるため、そのまま放置されることも多いらしい。

だが、メールや OneDrive の中身、連絡先などが盗まれるため、他サイトのログインやパスワードリセットの踏み台にされる事がある。
すべての侵入者が、持ち主を追いすとは限らない…相手もバレない方が都合がいいこともあるのだ。

焦る気持ちはあったが Copilot の助言に従うならば、
こちらは一切サインインせずに非アクティブな状態を作り、セッションの自然消滅を狙うのが上策。
その作戦が見事にハマり、実際に３日で戻ってきた。

実はこの Hotmail には、古い X アカウントが紐づいていた。
Twitter と呼ばれていた頃から使っていた、古参アカウントである。

休眠アカウントとは言え、案の定この X にもログインできなくなっていた。
弟雀の X がフォロアー登録していたため、様子を見て見ると、数年前からビットコイン関連の投稿に、大量のリプを送っていた。
どうやら3年前に運営から目を付けられた様で、警告表示とともに、その時点でピタリと投稿が止まっていた。

いったい、いつから海外勢御用達のアカウントと化していたのだろう。

掘り起こされる休眠アカウントと、数分後に届く犯人からの通知

Google 関連のアカウントが次々に陥落していく中で、サードパーティとして紐づけていた SNS も一瞬でハッカーの手に落ちていった。

Googleでログインで繋いでいた X、Instagram、Facebookまでもが連鎖的に奪われていく。

犯人と母雀の攻防――
相手がスマートフォンの番号を変更していないものは、勝機があった。
運営から不審ログイン試行としてブロックされ、助かったものもある。

犯人は現行アカウントだけでなく、昔作ったアカウントまで掘り起こして乗っ取りをかけていた。
古い Google アカウントを奪い、新規で X や Instagram などを勝手に立ち上げていた様だ。

新規で作られた SNS は、正直打つ手なしだった。
Google は足がかりに過ぎず、違うメールアドレスと見知らぬ電話番号に変えられていた。
ほぼ、犯人オリジナルの SNS である。

これらの SNS は、もう見なかったことにして、古参の Google アカウントは、「パスワードをお忘れの場合」から取り戻して、即削除して回ることにした。

その時に意外と役に立ったのが、引き出しの中で眠っていた古いスマートフォンである。
昔のアカウントがメールとして残っていたり、第二認証（2FA）が生きていたり、大いに役立ってくれた。

ただ――
昔の放置アカウントを見つけてログインしてみた際、数分後には犯人からのログイン通知が飛んできた。
その時の恐怖が計り知れなかった事は、追記しておく。

セッション泥棒とは次元が違う――PC常駐型マルウェア「Infostealer」の恐怖

PC 自体をハッキングする情報窃取系マルウェア（Infostealer）感染の場合、セッション乗っ取り型と比べ被害は段違いである。

ブラウザの閲覧履歴や、メールの送信履歴/連絡先
Chrome / Edge 等に保存した、パスワードやクレジットカードのデータ
PC 内に保存した、ドキュメント・写真/動画・日本語入力の単語登録　など
PC内部のファイル（資格情報マネージャー・Wi-Fiパスワード・VPN設定など）
仮想通貨ウォレットの秘密鍵
アプリの内部DB（Slack・Steam、LINE・AI 等のチャット履歴など）

一言でハッキングといえど、
両者は似て非なるもので、被害の深刻度は桁違いなのは見ての通り。

セッション泥棒ならパスワードやクレジットカード情報までは抜けないが、マルウェアはPCに保存されているものなら大抵は奪っていける。
仮想通貨のデータなどは、マルウェアの大好物だ。

どこまで持ち出されたのかは、最後まで分からなかった。
念のため、クレジットカード番号と、銀行の送金パスワードを変え、被害は免れた。
もしかすると、送金に値する物理的残高が少な過ぎて、リスクに見合わなかっただけかもしれないが…。

Microsoft アカウントも例外ではなかった。
予備メールに「置き換え」通知が届き、30日間のロックアウトに突入。
パスワードと第二認証(2FA)、電話番号などを一斉に変更した際に届くものらしい。

一番困ったのは、本人確認の為、クレジットカード等の情報提供を求められたこと。
クレジットカードとスマートフォンの電話番号は、既に変更していた為、登録と一致するわけがない。
途方に暮れていたが、ここでも古いスマートフォン経由でログインできたので、置き換えの「キャンセル」を行うことができた。

第一章で書いた、Google Takeout などは二次被害に過ぎないのかもしれない。
おそらく、マルウェアが侵入して数分後には丸裸同然になっていたと思う。
しかも PC に常駐型なので、こちらが「パスワードを変えなきゃ」「古いアカウントでログインして確認しなきゃ」と操作するたび、その情報まで相手に渡っているのではないかと疑った。
闇市場にはこれらがフルセットで売られる為、二番煎じでも充分な脅威となりえるのである。

迷惑電話や詐欺メールが増えるのは想像に難くないが、日頃ならスルーできる明らかな釣りメールも、この時ばかりは本物に見えてしまうという罠もあった。

大混乱に陥った母雀は、様々なアカウントを掘り起こしては閉鎖しまくっていた。
Google や Microsoft アカウントなら削除後も復活できるが、Yahoo! アカウントは再起不可能。
一度削除したら絶対に戻せない仕様の為、重要メールも二度と見ることができない。
もし、予備メールに登録していたら、自らアカウント奪還の手段を手放してしまうことにもなる。

スマートフォンの「Y! メール」アプリ以外（Outlook など）で、Yahoo! メールを閲覧している場合、削除後も一定期間は「タイトル」だけ閲覧できることがある。

そこに届いた、見知らぬ銀行からの【重要】メールに見事に騙されてしまった。
直接銀行に問い合わせたところ、よくある詐欺メールだったことが判明。
恥をかいただけで済んだが、落ち着いて見返してみれば怪しげなことは明らかだった。

ただ、この手の詐欺電話や迷惑メールは一時期に増えたものの、その後は微増ぐらいで留まっている。